Zero Trust, VPN и TLS инспекцијата вршат различни работи

Документите за набавка ги третираат zero trust, VPN и TLS инспекцијата како иста набавка, и секое од нив одговара на прашање на кое другите не можат. Тунелот гради заштитена патека, инспекциската порта чита сообраќај што може да го прекине, а политиката одлучува дали именуван идентитет смее да изврши именувана операција врз именуван ресурс. Само последното е одлука за авторизација. Производ може совршено да ги изврши првите две и сепак да го остави вистинското прашање отворено.

Три механизми, три прашања

Тунелот одговара како сообраќајот стигнува до мрежата. Инспекциската порта одговара што може да види и направи посреднички уред таму каде што е овластен да прекине TLS. Моторот на политика одговара кој што смее да прави со кој ресурс, а потоа му треба точка на спроведување што може да го примени тој одговор. Архитектурата zero trust на NIST го става ресурсот во центарот и одбива да изведе доверба од тоа од каде дошол пакетот.

Таа рамка е потешко да се задоволи од етикета, и многу потешко да се фалсификува при преглед. Таа исто така го пренесува прашањето од тоа кои производи се распоредени кон тоа кои одлуки се спроведуваат и со што.

Каде одлуката навистина се применува

Земете едно барање: инженер за поддршка отвора конзола за услуга, а лична машина поврзана на истиот прекинувач не смее да го наследи тоа овластување само затоа што е близу. Запишете ја дозволената операција, условите на уредот и компонентата што ги спроведува. Местоположбата е пресудна: апликациска порта, прокси за услуга, контрола на домаќин или друга граница што организацијата навистина ја поддржува. Што и да е таа компонента, таа мора да стои на патеката и на далечните и на локалните обиди.

Сообраќајот што никогаш не ја преминува влезната точка на VPN не се управува со проверка извршена таму, колку и да е темелна таа проверка. Токму оваа единствена празнина го објаснува најголемиот дел од растојанието помеѓу дијаграмот zero trust и распоредувањето што работи. Нацртајте ја патеката на барањето пред да ја нацртате архитектурата.

Дешифрирањето не е авторизација

Пресретнувањето служи на тесни цели на инспекција и носи сопствен товар од сертификати, доверливи корени, преглед на приватност и апликации што пукаат под него. Ништо од тоа не е значењето на zero trust и ништо од тоа не заменува одлука на политика. Автентикација на лице и авторизација на услуга е сосема возможна без дешифрирање на ниту еден пакет. Дешифриран тек не кажува ништо за тоа дали корисникот имал право на операцијата што се пренесува во него.

Политиката бара еден вид доказ, а дешифрирањето не е тоа. Здравјето на уредот е еден влез меѓу идентитет, чувствителност на ресурсот и контекст, и еднократно поминување не и ја дава на таа машина останатата мрежа. Мешањето на двете го претвора прашањето за авторизација во проект за сертификати.

Кога портата воопшто не е на патеката

Пописете што патува без да ја допре далечната порта: врски меѓу машини во локалниот сегмент, повици од едно работно оптоварување до друго и крајни точки до кои се стигнува директно во облачен профил. За секоја патека наведете метод на спроведување што навистина може да се распореди денес. Опремата што не може да вдоми агент сепак бара друга експлицитно поддржана контрола, а претпоставката дека агентот ќе дојде подоцна сега ништо не затвора. Пристапот услуга-до-услуга обично подобро одговара на идентитетот на работното оптоварување и на проверка напишана против ресурсот отколку уште една слоевита мрежа.

Прифатете го дизајнот по однесување, а не по дијаграми: кои операции се дозволени, кои се одбиени и каде се спроведува секој одговор. Одобрете конкретни дозволени и одбиени операции и вклучете една локална рута што никогаш не стигнува до портата. Забележете кој ја поседува политиката, како се менува и како функционира отповикувањето.

Преименуван тунел и понатаму е тунел. Политиката одлучува и нешто мора да ја спроведе.